Scholen hebben bij online incidenten een duidelijke juridische verantwoordelijkheid. Ze zijn verplicht om datalekken te melden, een zorgplicht te vervullen voor de veiligheid van leerlingen en te handelen binnen de kaders van de AVG en de Wet op het primair en voortgezet onderwijs. Die verplichtingen gelden voor elke school, groot of klein. In dit artikel beantwoorden we de meest gestelde vragen over wat de wet van scholen verwacht als het gaat om veilig internet op school.
Wat moeten scholen doen als een online incident plaatsvindt?
Als er een online incident plaatsvindt op school, is het belangrijk dat de school direct en gestructureerd handelt. Dat betekent het incident documenteren, betrokken leerlingen en ouders informeren, en beoordelen of het gaat om een datalek dat gemeld moet worden bij de Autoriteit Persoonsgegevens. Hoe sneller en gestructureerder een school reageert, hoe beter ze voldoen aan hun wettelijke plicht.
Een online incident kan van alles zijn: een leerling die terechtkomt op voor de onderwijscontext niet passende inhoud, een leerling die via een site als Poki afgeleid raakt van de leertaak, gedrag via sociale media dat aandacht vraagt, of een beveiligingsincident waarbij persoonsgegevens zijn blootgesteld. Elk type incident vraagt om een eigen aanpak, maar de eerste stappen zijn altijd hetzelfde.
- Documenteer het incident zo snel mogelijk, met datum, tijdstip, betrokken personen en wat er precies is gebeurd.
- Informeer de juiste personen binnen de school, zoals de directeur, de functionaris gegevensbescherming (FG) en eventueel de vertrouwenspersoon.
- Beoordeel de ernst van het incident en bepaal of er persoonsgegevens zijn gelekt of misbruikt.
- Neem passende maatregelen om verdere schade te beperken, zoals het aanpassen van toegang tot bepaalde sites of het resetten van wachtwoorden.
- Communiceer transparant met ouders en leerlingen als dat nodig of verplicht is.
Welke wetten gelden voor scholen bij online veiligheid?
Scholen in Nederland moeten zich bij online veiligheid houden aan meerdere wetten. De belangrijkste zijn de Algemene Verordening Gegevensbescherming (AVG), de Wet op het primair onderwijs (WPO) en de Wet op het voortgezet onderwijs (WVO). Deze wetten verplichten scholen om zorgvuldig om te gaan met persoonsgegevens en een veilige leeromgeving te bieden.
De AVG is daarbij het meest concreet als het gaat om digitale veiligheid. Scholen verwerken dagelijks persoonsgegevens van leerlingen, ouders en medewerkers. Dat brengt verantwoordelijkheden met zich mee, zoals het bijhouden van een verwerkingsregister, het sluiten van verwerkersovereenkomsten met softwareleveranciers, en het aanstellen van een functionaris gegevensbescherming als de school grootschalig persoonsgegevens verwerkt.
Daarnaast speelt de Wet digitale overheid een steeds grotere rol, en zijn er sectorspecifieke richtlijnen vanuit de Inspectie van het Onderwijs over hoe scholen moeten omgaan met digitale veiligheid en internetfiltering op school.
Wat is de zorgplicht van scholen voor online veiligheid?
De zorgplicht van scholen houdt in dat zij actief maatregelen moeten nemen om leerlingen te begeleiden bij het veilig gebruik van internet tijdens schooltijd. Dit is geen vrijblijvende aanbeveling, maar een wettelijke verplichting die voortvloeit uit zowel de onderwijswetten als de AVG. Een school die niets doet aan veilig internet op school, handelt nalatig.
In de praktijk betekent de zorgplicht dat scholen moeten zorgen voor:
- Een actief beleid rondom digitale veiligheid en mediawijsheid
- Technische maatregelen zoals een internetfilter dat niet bij de onderwijscontext passende inhoud buiten beeld houdt
- Duidelijke kaders voor leerlingen over het gebruik van apparaten en internet
- Een meldpunt voor leerlingen en medewerkers bij online situaties die aandacht vragen
- Bewustwording en educatie over digitale weerbaarheid
De zorgplicht gaat verder dan alleen technische maatregelen. Scholen worden ook geacht een veilige digitale cultuur te bevorderen, waarin leerlingen leren omgaan met online situaties en weten waar ze terechtkunnen als iets hun aandacht of ondersteuning vraagt. Een belangrijk onderdeel daarvan is safeguarding en bescherming van leerlingen tegen online risico’s.
Wanneer moet een school een datalek melden?
Een school moet een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens als het datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. Dit geldt ook als er twijfel is, want bij twijfel is melden verplicht. Betrokkenen zelf moeten worden geïnformeerd als het datalek een hoog risico oplevert voor hen persoonlijk.
Een datalek is elke inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Voorbeelden op scholen zijn:
- Een gehackt leerlingadministratiesysteem
- Een verloren USB-stick met leerlinggegevens
- Onbedoeld verstuurde e-mails met persoonsgegevens van leerlingen
- Toegang van onbevoegden tot schoolsystemen via zwakke wachtwoorden
Scholen die geen functionaris gegevensbescherming hebben aangesteld terwijl dat wel verplicht is, lopen extra risico bij een datalek. De Autoriteit Persoonsgegevens kan boetes opleggen als scholen hun meldplicht niet nakomen.
Hoe kunnen scholen online incidenten in beeld brengen en aantonen dat ze hun verantwoordelijkheid nemen?
Scholen kunnen online incidenten beter in beeld brengen door een combinatie van technische maatregelen en duidelijk beleid. Denk aan een betrouwbaar internetfilter, heldere gebruikskaders en regelmatige bewustwording bij leerlingen en medewerkers. Om aan te tonen dat een school haar verantwoordelijkheid neemt, is documentatie essentieel: leg vast welke maatregelen zijn genomen en wat er bij incidenten is gedaan.
Een goede basis begint bij het bieden van een passende digitale omgeving. Wanneer een leerling via school terechtkomt op websites die niet aansluiten bij de onderwijscontext, is dat een signaal dat de technische inrichting mogelijk onvoldoende aansluit bij de behoeften van de school. Meekijksoftware voor scholen biedt leraren bovendien real-time inzicht in wat leerlingen doen op hun scherm, zodat gedrag dat aandacht vraagt tijdig gesignaleerd kan worden.
Aantonen dat je als school aan je verplichtingen voldoet, doe je door:
- Een actueel privacybeleid en verwerkingsregister bij te houden
- Incidenten te loggen in een intern incidentenregister
- Rapportages van gebruikte software te bewaren als bewijs van actief beleid
- Periodieke evaluaties van het digitale veiligheidsbeleid uit te voeren
Hoe Kliksafe scholen helpt bij online veiligheid en juridische naleving
Wij begrijpen dat scholen niet alleen behoefte hebben aan een veilige digitale omgeving, maar ook aan tools die helpen aan te tonen dat ze hun zorgplicht serieus nemen. Onze oplossingen zijn speciaal ontwikkeld voor het onderwijs en bieden scholen een compleet pakket om online situaties te begeleiden, in beeld te brengen en te documenteren.
Wat wij bieden voor scholen:
- Internetfiltering die automatisch inhoud buiten beeld houdt die niet past bij de onderwijscontext, zoals expliciet materiaal of goksites
- Classwize meekijksoftware waarmee leraren real-time meekijken met leerlingen en tabbladen kunnen sluiten of pauzeren
- Schermoverzichten en screenshots van de afgelopen twee weken, bruikbaar als documentatie bij incidenten
- Rapportages die inzicht geven in internetactiviteiten en trends binnen de school
- Eenvoudige integratie in bestaande schoolnetwerken, zonder ingewikkelde technische installatie
Met onze oplossingen kunnen scholen niet alleen tijdig signaleren wat aandacht vraagt, maar ook aantonen dat ze actief beleid voeren en hun wettelijke verplichtingen nakomen. Wil je weten wat wij voor jouw school kunnen betekenen? Neem contact met ons op en we denken graag met je mee.
Veelgestelde vragen
Moet elke school een functionaris gegevensbescherming (FG) aanstellen?
Niet elke school is verplicht een FG aan te stellen, maar scholen die op grote schaal persoonsgegevens verwerken — wat voor de meeste scholen geldt — zijn dit wel verplicht onder de AVG. Een FG houdt intern toezicht op de naleving van de privacywetgeving en is het aanspreekpunt voor de Autoriteit Persoonsgegevens. Scholen die twijfelen of zij een FG nodig hebben, kunnen dit het beste navragen bij hun schoolbestuur of een juridisch adviseur gespecialiseerd in onderwijswetgeving.
Wat als een leerling thuis een online incident veroorzaakt dat gevolgen heeft op school — is de school dan ook verantwoordelijk?
De zorgplicht van scholen geldt primair tijdens schooltijd en op het schoolnetwerk, maar als een online incident buiten schooltijd directe gevolgen heeft voor de schoolomgeving — zoals digitaal pesten dat doorwerkt in de klas — heeft de school alsnog een verantwoordelijkheid om de betrokken leerlingen te begeleiden. Scholen zijn niet aansprakelijk voor wat leerlingen thuis doen, maar moeten wel actie ondernemen zodra het schoolklimaat of de veiligheid van leerlingen aandacht vraagt. Het is verstandig dit expliciet op te nemen in het digitale veiligheidsbeleid van de school.
Hoe stel ik als school een goed digitaal veiligheidsbeleid op als ik niet weet waar ik moet beginnen?
Een goed startpunt is het Kennisnet-stappenplan voor digitale veiligheid in het onderwijs, dat scholen begeleidt bij het opstellen van beleid rondom privacy, internetgebruik en incidentafhandeling. Zorg er in ieder geval voor dat het beleid minimaal een gebruiksreglement voor leerlingen, een procedure voor incidentmelding en een beschrijving van de technische maatregelen bevat. Betrek hierbij ook de medezeggenschapsraad, want ouders en leerlingen hebben instemmingsrecht op onderdelen van het schoolbeleid die hen direct raken.
Mogen scholen meekijksoftware inzetten zonder toestemming van leerlingen of ouders?
Scholen mogen meekijksoftware inzetten op schoolapparaten en -netwerken, maar zijn verplicht leerlingen en ouders hier transparant over te informeren via het privacybeleid en de verwerkersovereenkomst. Toestemming is in de meeste gevallen niet de juridische grondslag; scholen kunnen zich beroepen op een gerechtvaardigd belang of wettelijke verplichting in het kader van de zorgplicht. Wel is het essentieel dat de inzet van dergelijke software proportioneel is en dat gegevens niet langer worden bewaard dan noodzakelijk.
Wat zijn de mogelijke gevolgen als een school een datalek niet (op tijd) meldt?
Als een school een meldplichtig datalek niet binnen 72 uur meldt bij de Autoriteit Persoonsgegevens, kan de AP een boete opleggen die kan oplopen tot tientallen duizenden euro’s, afhankelijk van de ernst van de overtreding en de omvang van de school. Naast financiële gevolgen kan het ook leiden tot reputatieschade en verlies van vertrouwen bij ouders en leerlingen. Het bijhouden van een intern incidentenregister helpt scholen om snel en correct te handelen zodra een datalek zich voordoet.
Hoe vaak moet een school haar digitale veiligheidsbeleid evalueren en bijwerken?
Het wordt aanbevolen om het digitale veiligheidsbeleid minimaal één keer per jaar te evalueren, bij voorkeur aan het begin of einde van een schooljaar. Daarnaast moet het beleid direct worden herzien na een significant incident, een wijziging in wetgeving, of bij de introductie van nieuwe digitale tools en systemen op school. Regelmatige evaluatie is niet alleen goed beleid, maar ook een manier om aan de Autoriteit Persoonsgegevens en de Inspectie van het Onderwijs aan te tonen dat de school haar verantwoordelijkheid actief invult.
Wat kunnen ouders doen als zij het gevoel hebben dat de school onvoldoende maatregelen neemt voor online veiligheid?
Ouders kunnen hun zorgen eerst bespreken met de school zelf, bij voorkeur via de vertrouwenspersoon of de medezeggenschapsraad, die instemmingsrecht heeft op veiligheidsbeleid. Als de school aantoonbaar nalatig handelt en niet reageert op herhaalde signalen, kunnen ouders een klacht indienen bij de Autoriteit Persoonsgegevens of de Inspectie van het Onderwijs. Het is ook mogelijk juridisch advies in te winnen als er sprake is van concrete schade door het nalaten van de school.
Gerelateerde artikelen
- Wat zijn de signalen dat een leerling te veel online is tijdens schooltijd?
- Hoe bespreek je overmatig schermgebruik met leerlingen en ouders?
- Hoe stel je als school duidelijke grenzen aan gamegebruik tijdens de les?
- Wat zijn handige apps voor leerkrachten?
- Welke AI tool voor school?
- Wat is safeguarding en waarom is het belangrijk voor scholen?
- Wat zijn de nadelen van digitalisering in het onderwijs?
- Hoe kan ik mijn leerlingen minder laten gamen?
- Wat is digitale geletterdheid in het onderwijs?
- Wat zijn de kosten van een internetfilter voor een school?